[Powered by Google Translate] [Семінар: Виживання в інтернеті]
[Esmond Кейн-Гарвардський університет]
[Це CS50.-CS50.TV]
Здравствуйте і ласкаво просимо на "Виживання в інтернеті".
Це один з семінарів, які складають частину цієї CS50 навчальної програми.
Мене звуть Esmond Кейна. Моє ім'я та адресу знаходяться на тій слайди перед вами.
Це esmond_kane@harvard.edu.
У мій день роботи я один з ІТ-директорів безпека HUIT,
але я повинен визнати, що сьогодні я на виїзному місії
Саме тому я в червоній сорочці.
Це не збирається включати все, що пов'язано
прямо на мій день роботи, так що це не про ІТ-безпеки в Гарвард.
Це найбільше особисту інформацію, це, як коли you're -
ці види навичок, які ви будете купувати, щоб спробувати допомогти вам
загартовує ваших робочих станцій і ваше оточення протягом всієї кар'єри.
Але нічого, що я сьогодні вже не повинні застосовуватися до будь-якої з ваших
Університет матеріалу, серверів або робочих станцій
без звернувшись до місцевого ІТ-підтримки.
І справді, якщо я згадую будь-якого додатку або будь-які інциденти, як частина цього
розмови або дискусії не передає все, що я маю честь повідомити.
Як правило, громадські
І ні дійсно повинні Будь-яка згадка про будь-яких додатків увазі будь-яких
схвалення через Гарвардський або будь-якого осуду.
>> Так що сьогодні, чому ми тут - Тепер, коли ми закінчили з Відмова від відповідальності -
Ми сьогодні тут, щоб говорити про тих, що вижили в Інтернет.
І чому це такої важливої ​​теми, прямо зараз?
Тому можна перефразувати Перрі Хьюітт, який працює в Гарвардському преси та громадських зв'язків -
Я прошу вибачення за читає це прямо зараз - вона заявила: "Ми живемо в
атмосфері ескалації ризику, але й одним з безпрецедентні інновації.
Швидке зростання Інтернету, хмара та соціальні технології
призвело до ще багато людей, які мають спільні профілі онлайн
з дійсно доступ до постійно розширюється спектр інформації.
А це означає, що кожна людина і їх об'єднань ніколи не були більш помітними.
Як цифровий Всесвіту Гарварду - його цифрова мережа розширюється,
ми залучаємо більш широкої аудиторії.
Сподіваємося на поліпшення, але іноді ми будемо
залучити деякий негативний увагу.
Так як представник Гарварду ", і це включає в себе всі
спостерігав у себе вдома або чи дійсно тут хто-небудь, "наш факультет, наші студенти, наші співробітники,
наші дослідники, ризик компрометації до вас і справді
ваша мережа асоційованих ніколи не була вище. "
>> Так часто в області інформаційної безпеки, коли ми намагаємося збалансувати цю
ризикують це складний компроміс між безпекою та користувальницький досвід.
В епоху безпосередності ми повинні зробити продумані рішення
про те, що призведе до зміцнення безпеки без серйозних незручностей.
Нам кажуть, іноді унція запобігання коштує в два рази лікування,
але при виборі для забезпечення безпеки заходів обережності, щоб знизити ризик
Ми повинні визнати, що вона ніколи не буде зменшити потенційний ризик до нуля.
Отже, що сказав - ми тут сьогодні, щоб обговорити деякі прості і не дуже прості
запобіжні заходи, які можна зробити прямо зараз.
Я повинен також додати - якщо у вас є які-небудь питання протягом
Презентація просто підніміть руку.
Таким чином, перша тема - ми часто говорили, щоб вибрати хороший пароль.
Пароль Ваш перший і найкращий захист.
Дуже часто єдиним, що доступно для Вас
коли ви обираєте, щоб використовувати інтернет-ресурс.
Але, як ми бачили протягом усього цього літа і справді попереднього року
ми бачили атак, таких як LinkedIn, Eharmony.
Ми бачили RockYou.
У нас були деякі цілому 70000000 паролі і облікові записи під загрозою.
І коли ці паролі були звільнені в суспільне надбання
Вони також складаються хеш пароля.
>> Тому в основному в ці дні, якщо хтось отримує рахунок вулика
їм не потрібно, щоб зламати пароль більше;. їм не потрібно, щоб груба сила пароль
тому що у них є ця масивна скарб оприлюднила інформацію про те, що люди вибирають.
Вони вже отримали дані про поведінку на розум, що люди схильні використовувати.
І вони порушили, що аж до список близько тисячі паролів
які становлять майже 80 до 90% паролів, які ми вибираємо в загальному користуванні.
Так невеликий приклад - хто-небудь хоче ризикувати, що ви думали
Башар аль-Асад використовував для своїх пароль, коли він був скомпрометований в минулому році?
Це джентльмен, який є предметом пильної уваги.
І його пароль був 12345.
Добре - так що ці уроки ми навчилися, ми повинні рухатися
за межі просто думати про пароля.
Нам кажуть, щоб почати використовувати фразу-пароль.
Існує великий комічний або навіть з веб-комічної від Ренді Монро
яка йде у виборі фрази, він використовує - Я хочу сказати, -
батареї, основний, обмежити або щось в цьому роді - Ви знаєте, - якраз -
або дійсно є жарт, що хтось, хто вибрав Гуфі, Nemo,
Плутон - всі ці різні характери та Лондоні, тому що йому сказали,
підібрати 8 символів і капіталу.
Але - так ми дізнаємося, ми повинні піти думати не тільки пароль.
>> Існує насправді електронного журналу в Бостоні називають Ars Technica.
Існує джентльмен на ім'я Ден Гудін, який робить серію на
це зміна сфери - чи то від атакуючого простору, де у нас є
це масивне скарб доступний для нас
або голову, що ми більше не потрібно, щоб створити матеріал через райдужні таблиці;
у нас є 70 мільйонів паролів.
Але й у нас були - ви знаєте - мінливий пейзаж у
фактичні розтріскування простору, тому що GPU карти зробили це
практично в режимі реального часу.
І є джентльмен у Def Con в серпні який зібрав
12 з цих карт в товар ПК.
Він зробив це за ціною близько $ 2000 або $ 3000, і він був у стані зламати
скарб в LinkedIn - Ви знаєте, - в режимі реального часу.
Це було досить страшно.
Стаття Дена Гудін - я настійно рекомендую, якщо ви хочете піти читати.
Джентльмен на ім'я Шон Галлахер - сьогодні вранці - також опублікований
Швидке оновлення на ньому, багато їх робота побудована на -
з матеріалів, наявних Брюс Шнайер, але і від
Кормак Herely від Дослідження Microsoft.
Вони начебто заявили близько 5-6 років тому, що ми повинні почати думати не тільки паролі.
Пропозиції в той час були такі речі, як ідентифікаційні фрази,
інтерфейси жестів - в такому ж роді.
Ви знаєте - якщо щось ви знаєте, вже не достатнім на даний момент;
, Яка є однією з речей, які я хочу спілкуватися сьогодні.
Якщо ви повинні використовувати пароль, давайте не будемо соромитися, заявивши, ви все одно повинні
вибрати хороший, він повинен бути, ми сподіваємося, щось більше, ніж 10 символів.
Вона повинна коливатися в межах верхнього та нижнього регістру.
>> Я б настійно рекомендуємо вам не повторно використовувати паролі.
Я можу говорити з кілька випадків, коли ми бачили запис дізнайтеся
скомпрометований і хтось стрибав і пропустив - ефект доміно.
Вони мої кожному рахунку на кожному етапі в процесі цієї
даних, а потім вони продовжують використовувати ці дані, що вони добували в кожному примірнику
проти іншого джерела облікових даних.
Так що - знову ж - вибрати хороший пароль.
Зробити його унікальним. Ви можете подумати про використання служби менеджера паролів.
Є з них там від - всі вони знаходяться в магазинах додатків.
Існує одна звані OnePass, KeePass, LastPass -
це хороший шлях для того, щоб допомогти Вам створити унікальні повноваження, сильні повноваження,
а й сприятиме архіву та діловодства для вас.
Зворотною стороною, яка вам потрібна, щоб довести це до пароля сховища;
Ви повинні переконатися, що це менеджер паролів, який ви довіряючи
є гідним вашої довіри, а також.
>> Тому переконайтеся, що ці хлопці також використовують деякі дійсні механізми пароля.
Зокрема той, який я хочу згадати прямо зараз
є багатофакторної аутентифікації.
Так багатофакторної аутентифікації - і є кілька випадків, я піду через Коротше -
Це просте доцільно взяти щось ви знаєте, як ваша
ім'я користувача та пароль і додавання до нього - ви додаєте ще один фактор.
Таким чином, перший фактор, який ми згадаємо сьогодні це ті, на дошки.
Це те, що у вас у ваших володінь, так що або додаток
які працюють на Вашому смартфоні або навіть на сам телефон.
І ви могли б мати можливість отримувати текстові SMS.
Остерігайтеся, якщо ви подорожуєте за кордоном, які не обов'язково будуть слідувати за вами.
Додаток може працювати більше в цьому екземплярі.
Або дійсно інший фактор, який ви можете думати про те, що ви є.
>> Тепер це ще вид дуже скунса.
Ми не бачимо занадто багато прийняття його.
Це - ви знаєте - Місія нездійсненна стиль - ви знаєте - ваші вени друку,
пальцем друку, в сітківці друку.
Ті види далі, вони насправді не дуже дійсним фактором аутентифікації.
Ми бачимо, - коли я говорю з моїми колегами безпеки - більше тиску, яке
ви поклали на клавіатурі, ваші набравши певний шаблон, ймовірно,
безпосередньо на горизонті - набагато більше, ніж ці інші біометричні ідентифікатори.
Але ті сьогодні додатків або тексті SMS або навіть просто
E-mail відповіддю на запит, що ви збираєтеся отримати
для підтвердження, що Ви і справді вирішили увійти в цей момент часу.
Так що є посилання тут же: я розіслані слайди сьогодні вранці.
Це буде на вікі.
>> Обидва Gmail і Google зробити це, Yahoo зробить.
Paypal має; Paypal також має мало фактичного апаратний ключ, який робить числа обертів.
Але ви також можете використовувати номер телефону.
Facebook також робить увійти в твердженні, що Ви вирішили
затвердити його, вони також працюють в напрямку більш жорсткої безпеки дійсні сили.
Dropbox має 2 двохетапної аутентифікації, а також, ви також можете просто
придбати апаратний ключ для них.
Ми також бачимо, в одному або Gmail Google один, багато людей
фактично кооптації аутентифікації Google, так - наприклад -
Я використовую LastPass - це не має на увазі будь-яку підтримку - але вони можуть повторно
2 двохетапної аутентифікації Google, так що означає, що я не потрібно
ходити з 2 додатків на моєму телефоні.
Але і в Науково-дослідному обчислювальному Гарвард або за допомогою аналогій
в 2-х ступінчастий аутентифікації Google, тому що одноразовий пароль
Алгоритм з відкритим вихідним кодом там близько 10 років тому.
Є питання? Добре.
>> Так що ще один фактор за межами розгляду паролів, коли ви знаходитесь
використання цих ресурсів знати, що дані, які ви здійснюєте на них.
Просто обмежити те, що ви насправді покласти там.
Таким чином, ми розуміємо, що ці люди, які забезпечують підтримку для нас в Інтернеті -
цих хмарних послуг - у них є особиста зацікавленість у вас
не настільки ж безпечним, як ви потенційно можете.
Вони, як правило, надають мінімальний набір безпеки,
і тоді є купа інших ті, які не є обов'язковими, що вам потрібно вибрати зробити вибір на користь.
Вид забрати з цього розмови безпеки є спільною відповідальністю.
Це між вами та партнерами, що ви робите - спілки, які ви формуєте.
Ви повинні грати активну роль. Обери зробити вибір на користь цього.
Ви знаєте, - знайдіть час, зараз, зробити його більш безпечним.
В якості альтернативи вже є люди перевірки та тестування
ці чинники безпеки проти вас, тим більше ви можете відмовитися в
щоб краще ви підготовлені для можливого компромісу.
І це в кінцевому рахунку є.
>> Але інший фактор, щоб подумати про те, як я вже говорив
ці інтернет-партії, які ви довіряєте, використовуючи ваші дані - з вашої особистості.
Я дам вам 2 аналогій; Ларрі Еллісон і Марк Цукерберг - вони обидва
запис про те, на недоторканність приватного життя в значній мірі ілюзія.
І що вік конфіденційності закінчилася.
Тобто начебто сумне обвинувальний висновок, що нам дійсно потрібно чекати
для уряду втрутитися, щоб змусити ці партії бути більш безпечною,
ввести більш законодавству, тому що, коли ми намагаємося працювати з
ці виробники, наприклад деякі з цих сторін, як Dropbox,
вони знаходяться в бізнесі надання послуг споживачеві.
Вони безпосередньо не зацікавлені в тому, корпоративного рівня управління безпекою.
Споживачі проголосували гаманець,
і вони вже взяли мінімальним балом.
Пора змінити це мислення.
Тому, коли ми надаємо нашим даними цих сторін, ми повинні кооптувати нашої
існуючі механізми довіри, так що ми соціальні істоти за замовчуванням.
>> Так чому все раптово, коли почнемо здійснювати дані в Інтернеті
у нас тепер є доступ до тієї ж захистом ми особисто?
Тому, коли я можу читати мову тіла, коли я можу вибрати
мережі з соціальним колом і справді, що коло розголошувати
тільки ту інформацію, яку я хочу.
Тому у нас є доступ до цих мовою тіла, вирази, озвучити,
ми маємо доступ до цих засобів захисту ідентичності близькості
у фізичному місці, вони як і раніше розвивається в Інтернеті.
У нас немає доступу до них, але ми починаємо бачити їх.
Тому у нас є аспекти в Facebook - наприклад, - подібні групи.
У нас є доступ до речей у Google+, як кола.
Абсолютно їх використовувати.
Таким чином, останнє, що ви хочете побачити в цьому просторі, зокрема,
коли ви йдете, щоб отримати завдання ви вже зробили багато ваших
особистість громадськості.
І коли хтось хоче - якщо вони бажають - це може бути частиною
політики компанії чи ні - це, звичайно, не є частиною Harvard's -
але вони можуть вибрати, щоб зробити пошук Google.
І коли вони роблять так - якщо ви надали - скажімо, деяка інформація
які вам доведеться важко стояти позаду -
Ви зробили собі ведмежу послугу.
І дійсно, як я вже казав - це соціальна компаній, які вони мають особисту зацікавленість
У його оприлюднення - Ви знаєте, - вони повинні добувати дані.
Вони продають ваші демографії і ваших маркетингових матеріалів для когось.
Вид аналогії в цьому просторі - якщо ви не платите за продукт
Ти продукт?
Отже, створіть кола для Ваших друзів, бути обережними, бути старанним,
намагаюся не робити все, громадськості.
>> Інша аналогія, я зроблю це угоди з кінцевим користувачем ліцензії
зміниться, вони скажуть вам, що вони можуть робити з вашими даними,
і вони збираються поховати його в 50-сторінковий кліків.
І вони можуть вибрати, щоб змінити це, і вони просто відправити вам швидку електронну пошту.
Але ви не юрист, це дуже багато юридичною мовою.
Ви повинні бути обережні, що ви робите.
Вони можуть володіти фотографій, вони можуть володіти інтелектуальної власності.
Ви знаєте - просто вправу обачності.
Інший приклад Бібліотека Конгресу архівування кожен твіт, відомих людині. Все.
Кожні 10 років приблизно тіла матеріал, який генерується
в 10 років, що рахунки або значно випереджає все, що ми
створив протягом всієї людської історії.
Бібліотека Конгресу має особисту зацікавленість у збереженні цієї інформації
для нащадків, для майбутніх архівістів, для майбутніх дослідників та істориків,
так що всі ви ставите там є.
Це фактично зробить величезний ресурс у певний момент
Як тільки люди починають видобувати соціальної інженерії або сайти соціальних мереж.
Так що тримайте ознайомлені захисту, доступних в межах кожного додатку.
>> Існує те, що я буду згадувати, а також, є сторонній інструмент
Privacyfix називається, він може підключити прямо в деяких з цих
програми для соціальних мереж.
І він може перевірити, де ви знаходитесь по відношенню до захисту
, Які доступні на них, якщо ви можете вибрати поглибити їх далі.
Є інструменти, такі як Фронт звільнення даних від Google
де ви можете вибрати для експорту або витягти дані.
Є такі речі, як машина Самогубство Інтернет, які будуть входити в систему
на деякі з ваших профілів і фактично видалити кожен атрибут
по одному за раз, зняти відмітку кожен Асоціація аматорів у вашій мережі зробили б.
І вона буде прагнути, щоб итеративно очистити всі про Вас
, Що цей сайт буде знати.
Якщо я можу просто проявляти певну обережність там же; Був випадок
Пару років тому в Німеччині, де громадянин вирішив
здійснювати свою свободу інформації права і попросити надати Facebook
те, що інформація, яку вони мали на запис для нього навіть після того як він видалив свій обліковий запис.
Вони надали йому компакт-диск з 1250 сторінок інформації
хоча теоретично його рахунок більше не існувало.
Існує поняття в цьому просторі багато, що деякі з цих
осіб буде підтримувати деякі дані про Вас, щоб зробити з вашої асоціації і ваших мереж.
Вони кажуть, що вони не можуть мати контроль над ним, то є щось на зразок протягу, на мій погляд.
Вони створюють ці тіньові облікові записи - тінь шпалери.
Тільки будьте обережні.
Обмежити те, що ви можете.
У фактичному рівні пристрою, коли ви тільки що говорили про -
Ви знаєте - апаратно - смартфон, ваші таблетки,
робочої станції, ваш ноутбук, можливо, сервер, який ви несете відповідальність за.
>> Ви, напевно, чули про поняття, як операція, оновлень системи,
оновлення додатків, антивірус, ви чули про речі, як брандмауери,
шифрування диска і резервного копіювання.
Одна річ, ви повинні бути інформовані про те, ви не чули про
ті з захистів в мобільному просторі телефону.
Вони так само схильні до тих же загрозам.
У нас було - я хочу сказати - мільйон смартфонів будуть
активується в кінці цього місяця.
Це має значно випереджав - протягом короткого періоду часу, що
вони були доступні, який значно випереджало зростання
ПК, ноутбук, ринок робочих станцій.
Але у нас немає доступу до тих же контроль, і я
будемо говорити про це найближчим часом.
Тому, перш ніж ми перейдемо до мобільного телефону простору давайте поговоримо про
те, що доступно, що я просто коротко підійшов.
Так що антивірусне програмне забезпечення - ось деякі вільні вибори.
Microsoft віддає їх - ви знаєте - Sophos віддає їх для OSX, а
Патч комп'ютера - просто бути в курсі будь-якого постачальника Твоя
поточний рівень коригування є, і ви не повинні бути значною дельта від цього.
Існує хороший інструмент від компанії під назвою Secunia.
І Secunia буде працювати у фоновому режимі, і він скаже вам, якщо є
оновлюється, і, якщо вам потрібно, щоб застосувати його.
>> Включити автоматичні оновлення - і Apple, і Microsoft буде мати деякий аспект цього.
Вони будуть попереджає про доступні оновлення.
І Secunia - Ви знаєте, - це свого роду гарною підстраховки мати також - відступити механізму.
На приймаючій шару - не отримувати на смартфони ще.
Включити брандмауер рідною для операційної системи.
Існує деяка інформація про Windows, OSX в одну.
Перевірте свій брандмауер, не просто залишити його там, і думаю, що це безпечний механізм.
Відігравати активну роль; є додаток, там від GRC - Стів Гібсон.
Wi-Fi безпеки в цьому просторі - це також може застосовуватися на смартфон і планшет -
коли ви обираєте, щоб піти на дорозі, ви повинні знати,
що існують різні класи бездротової мережі.
І, зокрема, не вибирають найбільш широко доступні один.
Це може бути низька вартість, але там можуть бути причини для цього.
Можливо, вони добувають ваші дані.
Ми бачимо це більше, коли ви подорожуєте на міжнародному рівні.
Є деякі дійсно високоефективні кібер-злочинних синдикатів
, Які здатні підсилити те, що ми зазвичай бачимо в шпигунстві національних держав.
Фактором, де вони прямо ін'єкційних себе в мережевий потік.
Вони тягнуть речі з там, і вони є споживачами ін'єкційних
додатків на робочих станціях.
>> Це - інший аспект, який я знаю, було згадано в деяких з цих
безпеки семінари - семінари чи ні CS50 семінари - це інструмент під назвою Firesheep.
І Firesheep була конкретна атака в мобільному просторі телефон
де деякі з цих соціальних мереж посилали облікових даних у простий текст.
І це було досить широко прийнято, тому що все в той час
думав, що не було ніякого апетиту на споживчому місце для нього,
що для використання більш високою міцністю шифрування увазі продуктивність тягар
на сервері, так що якщо у них не було це зробити - вони не хочуть.
А потім все раптово, коли це зробив дослідник безпеки
тривіальні атаки дуже швидко - ви знаєте - ми почали бачити, що вид
поліпшення, що все в просторі безпеки були
скаржилися на значний час.
Так що - зокрема - Firesheep зміг відновити Facebook, Twitter
вірчі грамоти від Wi-Fi потік.
І тому що це було у вигляді звичайного тексту, і вони змогли надати.
>> Знову ж, якщо ви збираєтеся використовувати Wi-Fi, вибрати один, що
достатньо захищені - WPA2, якщо можна.
Якщо ви повинні використовувати незашифрованих Wi-Fi - і зокрема, я маю на увазі
для будь-якого, хто використовує бездротовий Гарвардського університету -
ви можете подумати про використання VPN. Я настійно рекомендую його.
Інші фактори, ви можете думати про те, якщо ви не довіряєте Wi-Fi
що ви перебуваєте на ви можете обмежити використання.
Не робіть будь-якої електронної комерції, не робіть будь-які банківські.
Не заходьте в облікових даних університету.
Існує великий виграш в цьому просторі, якщо хтось
нічого вкрасти ваші облікові дані - ви знаєте - у них є мобільний телефон?
Так що - ви знаєте - що є ще одним фактором, що вони не завжди може захопити
або просто робить свою атаку складніше.
Шифрування жорсткого диска.
Ми знаходимося в епосі прямо зараз - шифрування використовується для бути велика справа 10 років тому.
Це було значний вплив на продуктивність.
Він більше не є - насправді - велика частина мобільних телефонів і в такому ж роді
вони роблять це на апаратному рівні, і ви навіть не помічаєте, -
продуктивність настільки незначна.
>> Якщо ви говорите про робочої станції, ми говоримо про BitLocker.
Ідеться про сховище файлів; включити його - знайдіть час, зараз.
У Linux простору очевидно, вірно гробниці може працювати на обох з них.
Ви можете думати про - у просторі Linux - є DM-склеп,
є Luxcrypt - є купа інших варіантів - також вірно склеп.
Інший швидкий спосіб захистити себе на рівні робочої станції
резервне копіювання жорсткого диска.
І одна невелика зморшок тут - це не достатньо, щоб використовувати один з
ці постачальники Хмара синхронізації, так що Dropbox або G-Drive або щось ще
Це не резервну копію рішення.
Якщо хтось видаляє щось на одне з цих пристроїв
тому що вони вставлені себе якось йде -
що делеція реплицируется всієї вашої персоною.
Це не резервне копіювання, тобто просто механізм поширення.
Так що добре мати резервну копію рішення.
Є деякі пропозиції, тут для деяких людей, деякі з них є безкоштовними -
на основі пропускної здатності - 2 гігабайтами оперативної резервне копіювання - ви можете зробити це.
Якщо ви використовуєте університету G-Mail - Університет Google в коледжі, і зі, G-Drive
Якщо він ще не - вона буде доступна найближчим часом.
Це хороше заміни.
Ми також будемо дивитися на ці речі, як Mozy будинку.
Це добре, щоб їсти 2 рішення.
Не маю всі яйця в одну корзину.
Якщо ви вирішили позбутися від чогось або в самому справі, якщо ви знаходитесь в процесі
відправки щось конфіденційне - деякі пропозиції тут, щоб
надійно стирати пристрою.
Дарик завантаження і Nuke - що це свого роду більше для ІТ-підкованих.
Ви можете думати про те, щоб просто дати їй деякі з цих
комерційних провайдерів, якщо можна.
>> Шифрування електронної пошти - якщо ви повинні - є деякі послуги на території кампуса
Accellion називається, ти поза кампуса або для особистого користування я буду рекомендувати Hushmail.
Ми бачимо, що багато використовувані в свист вентилятора, воно є одним з основних
механізми для WikiLeaks
а також Тор і деякі інші аналоги.
І - тепер говорити про телефон рівні - так що проблема тут
немає так багато апетит ще.
На жаль, більшість смартфонів і планшетних ОС
вони як і раніше засновані на деякі принципи, які ми бачили в 1990 році.
Вони насправді не включені деякі поліпшення
, Які ми бачимо на рівні робочої станції. Вони не роблять термозахистом.
Вони не роблять - ви знаєте - шар рандомізації.
Вони не роблять адресу захист.
Вони не роблять виконати захист - в такому ж роді.
Але й сам пристрій на де-факто не збирається мати ніяких
кінцевої точки безпеки, вбудовані в неї.
Таким чином, ми починаємо бачити це зміна - знову - більшість смартфонів
виробників - Android, Apple, і вікна - тільки апетит
не було там; бенчмарка Blackberry.
Але Blackberry була як би втратив свою тягу на ринку на даний момент.
І Apple дійсно втрутилася
Близько 2 років тому був переломний момент, де вони
почали будувати в набагато більше управління підприємством типу.
І - більше того - у серпні вони зробили презентацію на Def Con, яке було просто нечувано.
>> Так що вони будуть робити мінімальні елементи управління, які я описав.
Вони будуть робити надійні паролі, вони зроблять запит на пароль, що на холостих -
пристрій - ви забули про це, і через 15 хвилин він активує.
Вони будуть робити шифрування, і вони також будуть робити те, що називається дистанційним видаленням.
В Android і простору вікон вони все ще TBD - не визначена.
Android має доступ до деяких додаткам називається Prey і Lookout.
І дійсно, деякі з кінцевої точки безпеки інструменти, такі як Kaspersky Я знаю, це робить.
Я знаю, ESET робить це, а
Вони дозволять вам відправити текст SMS і очистити пристрій.
Windows Phone на даний момент це в першу чергу орієнтовані на
Фірмовий стиль - те, що називається обміну.
Біржа є надійної інфраструктури поштою, і він може доручити деякі з цих елементів управління.
Windows 8 просто відправлені минулого тижня, так що я не можу говорити з цим остаточно.
ОС Windows 6.5 була великою пристрої безпеки.
Windows 7 Мобільний була катастрофа, вони не роблять всі ці власні засоби управління
обов'язкове через різних постачальників.
Тому, потрібно було ратифікувати кожна Windows Mobile 7 телефонів по одному за раз.
>> Android - оскільки простір 3,0 справила значне поліпшення, а також.
Стільниковий, Ice Cream Sandwich, Мармелад - вони будуть підтримувати ці мінімальні контролю,
та й взагалі вони підтримуватимуть деякі з управління підприємством, що ви можете зробити також.
У вашому особистому просторі рахунку є Google Персональний синхронізації,
Ви можете включити якщо у вас є своє власне місце, а Google.
Так що ж ви робите, коли все це йде жахливо неправильно?
І якщо я можу - ще один винесення з цього насправді, коли - не якщо.
Це відбудеться з усіма нами в якийсь момент. Що ви можете зробити?
Так що ви можете зробити - і є слайд - наступний слайд
вказати Вам на деякі з FTC ресурси для цього,
а голе місце мінімального попередження про можливе шахрайство кредитних карт.
Якщо я можу заохочувати, щоб ви думали про те, коли ви використовуєте кредитну картку
в онлайн потужності - залежно від угоди ви робите
дебетових карт - можливість претендувати або здатність відмовитися шахрайських
претензії на дебетову карту насправді набагато менше, ніж це вікно знаходиться на кредитній карті.
Тому, як тільки ви отримаєте ваш звіт про дебетових карт у вас є тільки певні
терміни - і це дуже низький - повідомити банк шахрайської угоди.
Кредитні карти, це набагато більше, там, як правило, межа, до близько $ 50 000
перш ніж вони будуть дійсно бути в змозі відшкодувати вам.
Так що це досить багато грошей, вони вдарили його в порівнянні з приблизно $ 13 000 або $ 18 000 є зовсім недавно.
Так що - ви знаєте - коли ви думаєте про використання кредитної карти онлайн,
Ви можете подумати про використання долити карти або одноразові кредитні карти, пальники карту?
>> Якщо ви бачите що завгодно - і я покажу вам, як ви можете отримати доступ незабаром -
закрити будь-які шахрайські рахунку, якщо ви були обізнані про нього.
Подати поліцейський звіт, якщо ви знаходитесь на території кампуса.
Зверніться до HUPD - повідомте ім.
Подумайте про службу моніторингу ідентичності.
Якщо в складі - якщо ви отримаєте загрозу - можливо, доведеться -
вони можуть фінансувати служби захисту особистості.
Якщо вони не роблять, можливо, ви повинні це зробити.
Збирати і зберігати всі докази, - зокрема, будь-які дискусії у вас було
з будь-якими кримінальними авторитетами
особливо для цілей страхування.
Змінити всі ваші паролі.
Змініть відповіді на будь-які питання безпеки, які можуть бути використані для відновлення пароля.
Вимкніть всі минулі заслуги ідентичності.
Так що якщо ви повторного використання ваших Facebook акаунт для входу на Twitter або навпаки,
покінчити з цією, якщо компроміс беруть участь облікового запису електронної пошти
перевірити, щоб дивитися, що прямують.
Тому що в іншому випадку вони можуть мати доступ до ваших даних.
І якщо крадіжка включає ваш рахунок Гарвардського будь ласка, повідомте IThelp@harvard.edu.
Я не можу сказати, що достатньо, але і, зокрема, якщо пристрій втрачається або
вкрадені і він мав доступ до ваших даних університету і, можливо, ви
не було деяких з цих захистів бути відповідною, будь ласка, дайте нам знати -
HUPD і IT Help в Гарварді.
>> Так за посиланням, яку я щойно говорив, що входить до це з великою кількістю деталей
FTC.gov / identitytheft.
Поштова служба також має деякі шахрайства або послуги Identity Protection -
ви просто покладіть трюмі або зупинку на кредитних карт переживає або тому подібне.
ФБР має посилання, а, це в примітках слайди, які я розіслав.
І дійсно Массачусетс Better Business Bureau і
Бюро по захисту прав споживачів має деякі керівництва, а також, це в примітках.
Витратьте час, зараз, зробити себе знати те, що ви можете зробити, і вжити заходів.
Принцип - як я вже згадував - це якщо у вас немає плану
для вашої особистості крадіжки ви відразу ж буде
підлягають багато роботи, коли це відбудеться, і це коли.
Але навіть коли ви приймаєте ці запобіжні заходи - дозвольте мені додати
невелике слово застереження - не виживає план першого контакту з ворогом.
Так що навіть в цьому ми все ще думаємо, що можуть бути деякі Subversion - ви знаєте -
ваш банк, наприклад, який ви побудували всі ці здатні захистити
вони можуть отримати під загрозу, ці довірені боку, що ви віддали свої дані.
Так ви самі собі найкращий захист.
Ви знаєте, - зберігати пильність - зберігати пильність.
Витратьте час, тепер вибирати відмовитися в ці; сподіваюся поспілкуватися
це, поговоріть з цим зі своїми друзями.
Вибрати гарні паролі, використовуйте унікальні паролі для облікових записів.
І не допускати повторного використання паролів - зокрема - навколо деяких з
ваші більш чутливим активам, не використовуйте ваш університет рахунку в іншому місці.
Не використовуйте свій рахунок кредитної карти в іншому місці.
Захистити паролем мобільного пристрою прямо зараз.
І на мобільному пристрої я маю на увазі смартфон, я маю на увазі планшета.
>> Подумайте про використання хороших питань скидання безпеки, а я буду говорити про
Незабаром це чому, перевірити ваш кредитний звіт.
Ще один спосіб, що ви можете бути хорошим громадянином у цьому просторі
є уряд змусило 3 агентства Experian, TransUnion і Equifax
випустити кредитних звітів.
Для деяких з сообщества Гарварду, особливо в студент просторі,
це може бути новим для них, але ви маєте право тягнути ці
агентствами, як мінімум раз на рік.
Добре обережністю - піти на цьому сайті; вона доступна на FTC один.
І робити це кожні 4 місяці замість цього, і ви в змозі тримати
Вкладки про те, хто запитує запити на інформацію про кредитну картку,
або якщо, звичайно, якщо хтось відкриває будь-які шахрайські рахунку.
І - загалом - керівництво має бути відомо.
І я збираюся дати вам конкретний приклад найближчим часом,
але це, по суті, м'ясо і картоплю обговорення.
>> Так чому це важливо саме зараз, протягом літа було
джентльмен на ім'я Метт Хенань - якщо ви там велике спасибі
за те, що майбутній з вашою інформацією.
Але що сталося з Меттом він працював на журнал Wired,
і деякі пішли після cyperhacktivists своєму Твіттері.
І вони використовували деякі з цих ресурсів - частина цієї публічною персоною
що він зробив доступні.
І він збудував карту, вони знали, де і коли атакувати.
Так що з цього вони почали поздовжні і поперечні зрізи інформації, що він зробив
доступні, і вони виявили, що у нього була Gmail акаунт.
Так він використовував менш мудрий пароль для свого Gmail,
і він не має багатофакторну аутентифікацію на ньому.
Таким чином, вони скомпрометовані своїм Gmail, як тільки вони мали доступ до своїх Gmail
вони бачили всі ці інші рахунки, що він підключений до його Gmail.
Справді, у них був доступ до його цілий весь Gmail або Google персоною.
І - зокрема - вони почали помічати, що він мав рахунок Amazon
, Тому що були деякі електронні листи, про які повідомляють його.
Таким чином вони дісталися до його Amazon, і вони дісталися до його Amazon
, Просто скинути свій пароль, оскільки він пішов до свого Gmail.
У нього не було - він начебто був ефект доміно або облікових ланцюжка відбувається тут
де тільки вони отримали його Gmail у них були ключі від царства.
Тому, як тільки вони дісталися до його Amazon - і це було не з вини
ці інші хлопці - це було - ви знаєте - Метт не обрана
відмовитися в ці більш надійні механізми, що тільки ці люди зробили доступні
і всі ці Інтернет джерел.
>> Тому, як тільки вони дісталися до його Amazon вони мали доступ - це не показати їм,
його кредитної карти, але він показав їм останні 4 цифри
саме так, він знав, що це було, він показав їм адресу доставки.
Він показав їм деяку іншу інформацію, що він зробив на кілька порядків.
А то від цього вони вирішили напасти на його рахунку компанії Apple.
І вони соціальна інженерія в службу підтримки Apple.
Apple, не повинен був цього робити, але, грунтуючись на цій інформації,
вони були в змозі видобувати від інших рахунків 2.
Ви знаєте, - хлопець в службу підтримки, ймовірно, думав, що він в даний час
хороший громадянин - Ви знаєте, - я те, що корисно, є клієнт компанії Apple
там, що сів там сам по собі, і мені потрібно, щоб допомогти йому.
Але це був не реальний клієнт Apple.
Таким чином, вони скинути його Apple, рахунки, і вони відправили інформацію в Gmail.
Як тільки нападники мали доступ до його рахунку Apple,
Метт був все його пристрою прив'язані до своїх Icloud,
і вони почали видавати набори лжесвідченні і витираючи все.
Знову ж, він тільки його даних, переданих; він використовував Icloud як механізм синхронізації.
Тому, коли вони видалили все пішло Вибуху.
Вони як і раніше мають доступ у цей момент своєму Твіттері яких є те, що
вони намагалися атакувати.
Я не знаю, якби вони використовували Maltego або деякі з цих інших механізмів
побудувати свій інтернет-персоною, але - ви знаєте - протягом декількох
Звичайно, вони отримали доступ до різних послуг 4 особистості, перш ніж
вони дісталися до його Twitter, і це коштувало Matt -
Метт був дуже пощастило, він побачив, це сталося тому, що його діти приходили до нього
коли Ipad заблоковані вимикається.
І вони сказали: - Ви знаєте, "Папа, щось відбувається з IPad".
І він закрити всі вниз, тому що він зауважив, що це відбувається в усьому світі.
І він став називати Apple, щоб побачити, що, чорт візьми, тільки що відбулося.
І Apple дійсно думав, що там щось відбувається
що Icloud пішов ізгоїв, поки вони не зрозуміли, -
він насправді зрозумів, що вони посилали інформацію, і
вони стали називати його неправильною назвою.
Оскільки Apple мав на інформацію про фото, що зловмисник перекручуватися.
>> Добре - так що це та інформація, яку ми використовуємо, щоб побудувати цю
види передової практики, ми використовуємо це як частина цілої серії
семінари по жовтень - національний місяць обізнаності CyberSecurity.
Це стало доступним для вас, хлопці.
Я подбаю, щоб я послав його у віки, коли Девід робить його доступним для мене також.
Але є поради та рекомендації там набагато більше, ніж гранульованого
Я можу підвести підсумок в цьому короткий проміжок часу я мав у розпорядженні.
навколо того, що називається, Хмарно, можливі крадіжки особистих даних:
Для отримання хороших імен користувачів і паролів.
Чи завжди не соціальний? І відповідь буде негативною, це завжди соціальний,
але ви повинні знати, що це означає.
І це Приборкання Леви, тигри, і вікна, яка становить близько
зміцнення операційної системи з деякою інформацією, ми пішли сьогодні.
І останній був о, у пристроїв, Will Travel
говорити про мобільні збирається з такого роду джерел даних.
Так крім того, що якщо у вас є які-небудь питання мою електронну адресу
там, і якщо хтось в кімнаті є які-небудь питання, будь ласка, підніміть руку.
Крім цього, я збираюся зупинити запис.
Добре. Готово.
[CS50.TV]